Lock in $30 Savings on PRO—Offer Ends Soon! ⏳

re:Invent 2025 のセッション (COP365) をベースに AWS Contro...

Avatar for いたくら いたくら
December 09, 2025
7

re:Invent 2025 のセッション (COP365) をベースに AWS Control Tower 関連の新機能を紹介します!

AWS re:Invent 2025 ふりかえり勉強会 re:Growth 2025 東京
https://events.classmethod.jp/seminar/251209-regrowth-tokyo/

#cmregrowth

Avatar for いたくら

いたくら

December 09, 2025
Tweet

More Decks by いたくら

Transcript

  1. re:Invent 0 5 のセッション (COP365) を ベースに AWS Control Tower

    関連の 新機能を紹介します! 2025/12/9 AWS re:Invent 0 5 ふりかえり勉強会 re:Growth 0 5 東京
  2. ⽬次 2 • セッションID:COP365 ってどういうセッション? • AWS Organizations のアカウント直接転送機能 •

    AWS Control Tower Landing Zone 4.0 • 気になっていたことをスピーカーに聞いてみた! • まとめ
  3. セッションID:COP365 ってどういうセッション? 4 • セッションタイトル ◦ [NEW LAUNCH] New capabilities

    for achieving effective governance at scale ◦ ⽇本語訳:⼤規模に効果的なガバナンスを実現するための新しい機能 • セッション概要 ◦ ⽇本語訳:組織は、急速なクラウド導⼊や複雑な移⾏の過程で、効果的なガバナ ンスをスケールさせることに苦労することがよくあります。このセッションで は、マルチアカウント環境を安全に管理し、ガバナンスとコンプライアンスを維 持しながら運⽤をスケールさせるための新しいガバナンス機能とコントロールを 紹介します。アカウントの移管⽅法、コントロールの迅速な確⽴と管理、ポリ シーの適⽤、コンプライアンス基準を満たし組織のベストプラクティスを実施す るための潜在的な標準⽅法について学びます。
  4. セッションID:COP365 ってどういうセッション? 5 • セッションの中で紹介された新機能(2025年11⽉発表) ◦ AWS Organizations のアカウント直接転送機能(11/19 発表)

    ◦ AWS Control Tower Landing Zone 4.0(11/17 発表) これらの新機能、既にキャッチアップ済みだったけど、 NEW LAUNCH 扱いなのかぁ… 11⽉の怒涛のアップデートラッシュが来た時点で re:Invent は始まってたのか…
  5. AWS Organizations のアカウント直接転送機能 10 主なメリット • アカウントの移動プロセスが簡素化され、運⽤負荷が軽減される • スタンドアロン状態を経由しないため、統合請求とガバナンス機能が途切れない •

    ⽀払い情報の再設定が不要になり、設定ミスのリスクが低減される 注意点 • 承認期間:14⽇以内に承認が必要 • 委任管理者:委任管理者として登録されているメンバーアカウントは、事前に登録解 除が必要 • 転送後、転送されたアカウントは Organizations の Root 直下に配置される ◦ 転送先の管理アカウントで OU 移動の対応は必要
  6. AWS Control Tower Landing Zone 4.0 13 Landing Zone 4.0

    は 必要な機能だけ選んで構築できる、柔軟なランディングゾーンになりました! • Controls Dedicated Experience(コントロールのみの導⼊が可能) • Config、CloudTrail のサービス統合を 個別に有効/無効 を選択可能 • Config、CloudTrail が専⽤ S3 バケットと専⽤ SNS トピックを使⽤する仕様へ変更 • 柔軟な組織構造 ◦ コントロールのみ導⼊の場合:組織構造は完全に⾃由 ◦ サービス統合を有効化した場合:統合アカウントは Root 直下の同⼀ OU 配下に 配置が必要 ▪ 統合アカウント:従来 Audit / LogArchive アカウントと呼んでいたもの
  7. AWS Control Tower Landing Zone 4.0 15 誰のためのアップデート? • 主なターゲットは、これから

    Control Tower を導⼊する利⽤者(組織) ◦ 既に運⽤が確⽴されたマルチアカウント環境を持っている ◦ 既存の組織構造を変更したくない ◦ Control Tower のマネージドコントロールのみを利⽤したい ⇒ 前述の従来の課題となっていた「フルセット」での導⼊が不要になり、   既存環境への影響が⼤きいという理由で導⼊を躊躇っていた利⽤者にとっては、   かなり嬉しいアップデート
  8. AWS Control Tower Landing Zone 4.0 16 • Landing Zone

    4.0 についてまとめたブログ(登壇資料)もありますので、 気になる⽅はぜひご覧ください!
  9. 気になっていたことをスピーカーに聞いてみた!② 21 Q: 攻撃者が管理する組織 A があり、攻撃者が組織 B のメンバーアカウントを招待して、 うっかりメンバーアカウントが承認してしまった場合、すぐに組織 A

    に転送されるので 乗っ取られてしまう認識で合っているか? A: 認識は合っている。ただし、組織 B のメンバーアカウントに招待を承認する権限がなけ ればそもそも招待を受け⼊れられない。正しい権限管理をすることが第⼀の防衛ライン となる。また、組織離脱を防⽌する SCP を設定することも有効。
  10. 気になっていたことをスピーカーに聞いてみた!③ 22 Q: ランディングゾーン 3.3 から 4.0 へのアップグレードは必須ですか? A: 必須ではないが、常にアップグレードすることが推奨される。4.0

    は新規利⽤者向けの アップデートが多いため、3.3 を使っている場合はそのままでも⼤きな問題は無い。 4.0 の新機能‧変更点を使⽤しない場合、急いでアップグレードする必要はないが、ベ ストプラクティスとしては新バージョンがリリースされたら、マイナー‧メジャー問わ ずアップグレードすることが推奨される。
  11. まとめ 24 • AWS Organizations のアカウント直接転送機能 ◦ 多くのステップ → 2

    ステップで完了へ! ◦ アカウントの移動プロセスが簡素化され、運⽤負荷軽減が期待できる • AWS Control Tower Landing Zone 4.0 ◦ Controls Dedicated Experience の登場により、既存のマルチアカウント環境 を維持したままコントロールの導⼊が可能に • LZ 3.3 を利⽤している⽅は、リリースノートなどで変更点を確認しながら 4.0 へのアップグレードを検討し始めましょう!